Consultando o estado atual da configuração do AWS Recursos

Gerenciamento de inventário; por exemplo, para recuperar uma lista de EC2 instâncias da Amazon de um tamanho específico.

Segurança e inteligência operacional, por exemplo, para recuperar uma lista de recursos que tenham uma propriedade de configuração específica habilitada ou desabilitada.

Otimização de custos; por exemplo, para identificar uma lista de EBS volumes da Amazon que não estão vinculados a nenhuma EC2 instância.

Dados de conformidade; por exemplo, recuperar uma lista de todos os seus pacotes de conformidade e seu status de conformidade.

Não há suporte para as palavras-chave ALL, AS, DISTINCT, FROM, HAVING, JOIN e UNION em uma consulta. Não há suporte para consultas com valor NULL.

Não há suporte para consultas de recursos de terceiros. Recursos de terceiros recuperados usando consultas avançadas terão o campo de configuração definido como NULL.

Não há suporte para que estruturas aninhadas (como tags) sejam descompactadas com SQL consultas.

CIDRa notação é convertida em intervalos de IP para pesquisa. Isso significa que "=" e "BETWEEN" faz a pesquisa de qualquer intervalo que inclua o IP fornecido, em vez de um exato. Para pesquisar um intervalo de IP exato, você precisa adicionar condições adicionais para excluir IPs fora do intervalo. Por exemplo, para pesquisar 10.0.0.0/24 e somente esse bloco de IP, você pode fazer:

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges BETWEEN '10.0.0.0'
  AND '10.0.0.255'
  AND NOT configuration.ipPermissions.ipRanges < '10.0.0.0'
  AND NOT configuration.ipPermissions.ipRanges > '10.0.0.255'
    

Para 192.168.0.2/32, você pode pesquisar de forma semelhante:

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges = '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges > '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges < '192.168.0.2'
    

Ao consultar em relação a várias propriedades dentro de uma matriz de objetos, as correspondências são calculadas em relação a todos os elementos da matriz. Por exemplo, para um recurso R com as regras A e B, o recurso está em conformidade com a regra A, mas não está em conformidade com a regra B. O recurso R é armazenado como:

{ 
    configRuleList: [ 
        {
            configRuleName: 'A', complianceType: 'compliant'
        }, 
        {   
            configRuleName: 'B', complianceType: 'non_compliant'
        } 
    ]
}

R será retornado por esta consulta:

SELECT configuration WHERE configuration.configRuleList.complianceType = 'non_compliant' 
AND configuration.configRuleList.configRuleName = 'A'

A primeira condição configuration.configRuleList.complianceType = 'non_compliant' é aplicada aos ALL elementos em R.configRuleList, porque R tem uma regra (regra B) com complianceType = 'non_compliant', a condição é avaliada como verdadeira. A segunda condição configuration.configRuleList.configRuleName é aplicada aos ALL elementos em R.configRuleList, porque R tem uma regra (regra A) com configRuleName = 'A', a condição é avaliada como verdadeira. Como ambas as condições são verdadeiras, R será retornado.

A abreviação SELECT de todas as colunas (ou seja, SELECT *) seleciona somente propriedades escalares de nível superior de um CI. As propriedades escalares retornadas são accountId, awsRegion, arn, availabilityZone, configurationItemCaptureTime, resourceCreationTime, resourceId, resourceName, resourceType, e version.

Limitações curinga:

Limitações de agregação:

Limitações de identificadores incompatíveis:

Identificadores incompatíveis são propriedades que têm a mesma grafia, mas com capitalização diferente (letras maiúsculas e minúsculas). A consulta avançada não oferece suporte ao processamento de consultas que contêm identificadores incompatíveis. Por exemplo: